本記事にはアフィリエイト広告（PR）を含む場合があります。
※本記事にはアフィリエイト広告（A8.net）を含みます。
スマートコントラクトのハッキングとは、ブロックチェーン上のプログラムの脆弱性や、運営側の鍵管理の不備を突いて資産を流出させる攻撃のことです。DeFi（分散型金融）の普及とともに大規模な被害が繰り返し報告されており、利用者にとって無視できないリスクとされています。
一方で、攻撃の手口には代表的なパターンがあり、過去の事例から学べる教訓も多くあります。手口の型と自衛策を知っておくだけで、個人が被害に遭う確率は大きく下げられます。
本記事では、リエントランシー攻撃をはじめとする代表的な手口、歴史的に有名なハッキング事例、そしてユーザー側・プロジェクト側それぞれの対策を整理します。
VPNは秘密鍵やシードフレーズを守るものではありません。守れるのは通信経路のほうで、カフェや空港の公衆Wi-Fiで取引所にログインするとき、同じ回線にいる第三者や接続元のネットワーク管理者に通信内容を見られるのを防ぐ用途です。ハードウェアウォレットとは守る対象が違うので、どちらかで代替はできません。30日間の返金保証があるため、実際の速度を試してから判断できます。
通信経路を保護する方法を見る →PR・NordVPN（Nord Security）。料金・返金条件・対応機能は変更されることがあるため、最新の内容は公式サイトでご確認ください。
なぜスマートコントラクトは狙われるのか
スマートコントラクトが攻撃対象になりやすい理由は、構造そのものにあります。
- 1つのコントラクトに多額の資産が集中している
- コードが公開されており、攻撃者もじっくり解析できる
- 一度デプロイ（配置）すると修正が難しい
- 取引が不可逆で、流出後に取り戻すことが難しい
つまり「金庫の設計図が公開されたまま、中身の入った金庫がネット上に置かれている」状態に近く、設計にわずかな穴があれば世界中から突かれ得るという前提で付き合う必要があります。
秘密鍵やシードフレーズの扱いは、断片的に調べるより一度体系立てて学んだほうが判断に迷わなくなります。手口は変わり続けるので、発行年を確認してから選んでください。
Amazonで関連書籍を見る →PR・Amazonアソシエイト。価格や在庫は変動します。
代表的な攻撃手口
リエントランシー攻撃
出金処理の途中で、残高が更新される前の状態を突いて出金関数を再帰的に呼び出し、本来の残高以上の資金を引き出す手口です。後述するThe DAO事件で広く知られるようになった古典的な手法で、現在は対策パターンが確立されていますが、実装ミスがあると今でも成立し得るとされています。
フラッシュローン攻撃
フラッシュローンとは、1つのトランザクション内で返済することを条件に無担保で巨額を借りられるDeFiの仕組みです。これを使って一時的に価格やガバナンス投票を歪め、その歪みから利益を抜き取る攻撃が繰り返し報告されています。
オラクル価格操作
オラクル（ブロックチェーン外の価格情報を取り込む仕組み）が参照する市場を操作し、担保の評価額を狂わせて過大な借入を行う手口です。流動性の薄いトークンを扱うプロトコルで狙われやすいとされています。
秘密鍵の窃取・ブリッジ攻撃
コントラクトのコードではなく、運営チームのマルチシグ鍵や、チェーン間送金を担うブリッジの検証者が狙われるケースも目立ちます。コードが安全でも、鍵の管理が破られれば資産は流出するという点は見落とされがちです。
歴史に残る主なハッキング事例
| 事例 | 時期 | 概要 |
|---|---|---|
| The DAO事件 | 2016年 | リエントランシー攻撃により、当時集まっていた多額のETHが流出したとされる。対応をめぐりイーサリアムのハードフォーク（分岐）につながった |
| Poly Network事件 | 2021年 | クロスチェーン連携の脆弱性が突かれ、約6億ドル相当が流出したと報じられた。後に大部分が返還されたとされる |
| Ronin Network事件 | 2022年 | ゲーム関連サイドチェーンのブリッジで検証者の秘密鍵が侵害され、約6億ドル規模の流出が起きたと報じられた |
金額はいずれも当時の報道に基づく概算です。注目すべきは、コードの脆弱性だけでなく、鍵管理や運営体制の不備が原因となった事例も大きいという点です。技術的な仕組みの詳細はテクニカルカテゴリでも扱っています。
ユーザーができる防御策
個人が攻撃自体を止めることはできませんが、被害に巻き込まれる確率と被害額は次の行動で下げられます。
- 第三者監査（Audit）の有無や運用実績を利用前に確認する
- 資金を1つのプロトコルに集中させず、分散して預ける
- 無制限の承認（Approve）を避け、使わない承認は定期的に取り消す
- 高利回りをうたう新興サービスほど慎重に、少額から試す
- 保管用資産はDeFi操作用ウォレットと分離する
長期保有分の管理にはハードウェアウォレットの利用が一般に推奨されます。また、ハッキングと紛らわしい「最初から資金を持ち逃げする詐欺（ラグプル）」も存在するため、詐欺の見分け方もあわせて確認しておきましょう。
プロジェクト側の対策から「信頼度」を読み取る
利用を検討しているプロトコルが、次のような安全対策を公開しているかは、信頼度を判断する目安になります。
- 複数の監査会社による監査レポートの公開
- 脆弱性の報告に報奨金を出すバグバウンティ制度
- 重要な変更に待機期間を設けるタイムロックや、複数人の署名を要するマルチシグ運用
- 預入額の上限設定など、段階的な資金受け入れ
対策の有無を確認してから資金を入れるという順番を習慣にするだけでも、リスクの高いプロトコルをかなり避けられます。DeFiの基礎から学びたい方はDeFi・Web3カテゴリも参考にしてください。
保有額に対する費用は、目的別の計算ツールで試算できます（26種・登録不要）。
よくある質問（FAQ）
ハッキングされた資金は戻ってきますか？
原則として戻らない前提で考えるべきとされています。Poly Network事件のように返還された例外もありますが、多くの事例では追跡はできても回収は困難です。プロジェクトによる補償も約束されたものではありません。
大手プロトコルなら安全ですか？
預かり資産が大きく運用歴が長いほど攻撃に耐えてきた実績はありますが、安全の保証にはなりません。過去には大手や有名プロジェクトの周辺（ブリッジなど）が被害に遭った例もあるため、分散と少額運用の原則は変わりません。
監査済み（Audited）なら安心してよいですか？
監査は特定時点のコードに対する検査であり、その後の変更や運営の鍵管理まで保証するものではないとされています。監査は「最低限の条件」ととらえ、他の対策と組み合わせて判断するのが現実的です。
ハッキングとラグプルはどう違うのですか？
ハッキングは第三者が脆弱性を突いて資産を奪う攻撃で、ラグプルは運営自身が最初から資金を持ち逃げする詐欺です。外形は似ていますが、ラグプルは事前の見極めで避けやすい点が異なります。
免責事項：本記事は一般的な情報提供を目的としており、投資助言ではありません。最新の情報は公式情報をご確認ください。
